IAM 教程：使用 IAM 角色委托跨 AWS 账户的访问权限

以原始账户管理员身份登录 AWS Management Console 并在 https://console.aws.amazon.com/iam/ 上打开 IAM 控制台。

在 IAM 控制台中，在右上角的导航栏上选择您的用户名。它通常类似于：username@account_ID_number_or_alias。

对于此场景，您可以将账户 ID 111111111111 用于原始账户。但是，如果您在测试环境中使用此方案，则应使用有效的账户 ID。

以目标账户管理员身份登录 AWS Management Console 并打开 IAM 控制台。

创建角色之前，准备好定义角色所需权限的托管策略。您可在以后的步骤中将此策略附加到角色。

您想要设置针对 amzn-s3-demo-bucket-shared-container 存储桶的读写权限。尽管 AWS 提供了一些 Amazon S3 托管策略，但这些策略并未提供对单个 Amazon S3 存储桶的读写访问权限。您可以创建自己的自定义策略。

在导航窗格中选择策略，然后选择创建策略。

选择 JSON 选项卡，然后复制以下 JSON 策略文档中的文本。将该文本粘贴到 JSON 文本框中，并将资源 ARN (arn:aws:s3:::shared-container) 替换为与您的 Amazon S3 存储桶对应的真实资源 ARN。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "s3:ListAllMyBuckets",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket",
        "s3:GetBucketLocation"
       ],
      "Resource": "arn:aws:s3:::amzn-s3-demo-bucket-shared-container"
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:PutObject",
        "s3:DeleteObject"
      ],
      "Resource": "arn:aws:s3:::amzn-s3-demo-bucket-shared-container/*"
    }
  ]
}

ListAllMyBuckets 操作会授予列出已通过身份验证的请求发出者所拥有的全部存储桶的权限。ListBucket 权限允许用户浏览 amzn-s3-demo-bucket-shared-container 存储桶中的对象。GetObject、PutObject、DeleteObject 权限允许用户查看、更新和删除 amzn-s3-demo-bucket-shared-container 存储桶中的内容。

在查看并创建页面上，键入 read-write-app-bucket 作为策略名称。查看您的策略授予的权限，然后选择创建策略以保存您的工作。

新策略会显示在托管策略列表中。

在导航窗格中，选择角色，然后选择创建角色。

选择 AWS 账户 角色类型。

对于账户 ID，键入原始账户 ID。

本教程使用原始账户的示例账户 ID 111111111111。您应使用有效的账户 ID。如果使用无效的账户 ID，如 111111111111，IAM 不会让您创建新角色。

现在，您不必要求外部 ID 或要求用户拥有多重身份验证 (MFA) 就可以担任该角色。将这些选项保持未选中状态。有关更多信息，请参阅 IAM 中的 AWS 多重身份验证。

选择 Next: Permissions 设置将与角色关联的权限。

选中您之前创建的策略旁边的复选框。

然后选择下一步。

（可选）以键值对形式附加标签来向角色添加元数据。有关在 IAM 中使用标签的更多信息，请参阅 AWS Identity and Access Management 资源的标签。

（可选）对于 Description（描述），输入新角色的描述。

检查角色后，选择 Create role。

UpdateData 角色显示在角色列表中。

在 IAM 控制台的导航窗格中，选择角色。

在角色列表中，选择 UpdateData 角色。

在详细信息窗格的 Summary (摘要) 部分中，复制 Role ARN (角色 ARN) 值。

目标账户的账户 ID 是 999999999999，因此角色 ARN 是 arn:aws:iam::999999999999:role/UpdateData。确保为目标账户提供真实的 AWS 账户 ID。

以原始账户中的管理员身份登录，打开 IAM 控制台。

选择组，然后选择开发人员。

请选择 Permissions（权限）选项卡，然后选择 Add permissions（添加权限），接着选择 Create inline policy（创建内联策略）。

选择 JSON 选项卡。

添加以下策略语句，允许对目标账户中的 UpdateData 角色执行 AssumeRole 操作。请确保将 Resource 元素中的 DESTINATION-ACCOUNT-ID 更改为目标账户的实际 AWS 账户 ID。

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Action": "sts:AssumeRole",
    "Resource": "arn:aws:iam::DESTINATION-ACCOUNT-ID:role/UpdateData"
  }
}

Allow 效果显式允许开发人员组访问目标账户中的 UpdateData 角色。尝试访问该角色的任何开发人员都会成功。

选择查看策略。

键入名称，例如 allow-assume-S3-role-in-destination。

选择创建策略。

选择角色，然后选择分析师。

请选择 Permissions（权限）选项卡，然后选择 Add permissions（添加权限），接着选择 Create inline policy（创建内联策略）。

选择 JSON 选项卡。

添加以下策略语句以拒绝对 AssumeRole 角色执行的 UpdateData 操作。请确保将 Resource 元素中的 DESTINATION-ACCOUNT-ID 更改为目标账户的实际 AWS 账户 ID。

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Deny",
    "Action": "sts:AssumeRole",
    "Resource": "arn:aws:iam::DESTINATION-ACCOUNT-ID:role/UpdateData"
  }
}

Deny 效果显式拒绝分析师组访问目标账户中的 UpdateData 角色。任何尝试访问该角色的分析师都会收到一条拒绝访问信息。

选择查看策略。

键入名称，例如 deny-assume-S3-role-in-destination。

选择创建策略。

David 使用其常规用户以原始账户登录到 AWS Management Console。

他们选择管理员通过电子邮件向其发送的链接。该会将 David 跳转至 Switch Role（切换角色）页面，其中已填写了账户 ID 或别名和角色名称信息。

—或者—

David 在导航栏上选择其姓名 [Identity（身份）菜单]，然后选择 Switch Roles（切换角色）。

如果这是 David 首次通过这种方式尝试访问“Switch Role (切换角色)”页面，则他会首先登录初始 Switch Role (切换角色) 页面。此页面提供有关切换角色如何使用户可以跨 AWS 账户 管理资源的其他信息。David 必须选择此页面上的 Switch Role（切换角色）才能完成此过程的其余步骤。

接下来，为了访问该角色，David 必须手动键入目标账户 ID 号（999999999999）和角色名称（UpdateData）。

此外，David 还想监控当前 IAM 中处于活动状态的角色及相关权限。为了跟踪此信息，他在 Display Name（显示名称）文本框中键入 Destination，并选择红色选项，然后选择 Switch Role（切换角色）。

David 现在可以通过 Amazon S3 控制台使用 Amazon S3 存储桶，或使用 UpdateData 角色有权限的其他任何资源。

完成后，David 可返回其原始权限。为此，他们可以选择导航栏上的目标角色显示名称，然后选择返回 David @ 111111111111。

当 David 下次要切换角色并在导航栏中选择身份菜单时，他将看到目标条目仍在上次的位置。他可以选择该条目立即切换角色，无需重新输入账户 ID 和角色名称。

David 打开命令提示符窗口，运行以下命令确认 AWS CLI 客户端正在工作：

aws help

他通过运行以下命令开始角色切换过程，以切换到目标账户中的 UpdateData 角色。他从创建该角色的管理员处获得了角色 ARN。该命令还需要您提供一个会话名称，您可以选择任何文本作为该名称。

aws sts assume-role --role-arn "arn:aws:iam::999999999999:role/UpdateData" --role-session-name "David-ProdUpdate"

然后 David 在输出中看到以下内容：

{
    "Credentials": {
        "SecretAccessKey": "wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY",
        "SessionToken": "AQoDYXdzEGcaEXAMPLE2gsYULo+Im5ZEXAMPLEeYjs1M2FUIgIJx9tQqNMBEXAMPLE
CvSRyh0FW7jEXAMPLEW+vE/7s1HRpXviG7b+qYf4nD00EXAMPLEmj4wxS04L/uZEXAMPLECihzFB5lTYLto9dyBgSDy
EXAMPLE9/g7QRUhZp4bqbEXAMPLENwGPyOj59pFA4lNKCIkVgkREXAMPLEjlzxQ7y52gekeVEXAMPLEDiB9ST3Uuysg
sKdEXAMPLE1TVastU1A0SKFEXAMPLEiywCC/Cs8EXAMPLEpZgOs+6hz4AP4KEXAMPLERbASP+4eZScEXAMPLEsnf87e
NhyDHq6ikBQ==",
        "Expiration": "2014-12-11T23:08:07Z",
        "AccessKeyId": "AKIAIOSFODNN7EXAMPLE"
    }
}

David 在输出的“Credentials”（凭证）部分中看到了他们所需要的三个部分。

David 需要配置 AWS CLI 环境，以在后续的调用中使用这些参数。有关各种凭证配置方法的信息，请参阅配置 AWS Command Line Interface。您不能使用 aws configure 命令，因为它不支持捕获会话令牌。但是，您可手动将信息输入到配置文件中。由于这些是到期时间相对较短的临时凭证，将它们添加到您当前的命令行会话环境中是最简单的。

为了将三个值添加到环境，David 将上一步的输出剪切并粘贴到以下命令中。您可能希望剪切并粘贴到简单文本编辑器中，以解决会话令牌输出中的换行问题。即使此处为清晰起见，将输出显示为换行格式，在添加时也必须是单个长字符串形式。

以下示例显示了 Windows 环境中的命令，其中“set”是创建环境变量的命令。在 Linux 或 MacOS 计算机上，您将改用“export”命令。该示例的其余部分对于三种环境均有效。

有关使用适用于 Windows Powershell 的工具的详细信息，请参阅 切换到 IAM 角色（Tools for Windows PowerShell）

set AWS_ACCESS_KEY_ID=AKIAIOSFODNN7EXAMPLE
set AWS_SECRET_ACCESS_KEY=wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY
set AWS_SESSION_TOKEN=AQoDYXdzEGcaEXAMPLE2gsYULo+Im5ZEXAMPLEeYjs1M2FUIgIJx9tQqNMBEXAMPLECvS
Ryh0FW7jEXAMPLEW+vE/7s1HRpXviG7b+qYf4nD00EXAMPLEmj4wxS04L/uZEXAMPLECihzFB5lTYLto9dyBgSDyEXA
MPLEKEY9/g7QRUhZp4bqbEXAMPLENwGPyOj59pFA4lNKCIkVgkREXAMPLEjlzxQ7y52gekeVEXAMPLEDiB9ST3UusKd
EXAMPLE1TVastU1A0SKFEXAMPLEiywCC/Cs8EXAMPLEpZgOs+6hz4AP4KEXAMPLERbASP+4eZScEXAMPLENhykxiHen
DHq6ikBQ==

此时，以下所有命令都在这些凭证确定的角色的权限下运行。对 David 而言就是 UpdateData 角色。

运行该命令访问目标账户中的资源。在此示例中，David 使用以下命令列出其 S3 存储桶的内容。

aws s3 ls s3://shared-container

因为 Amazon S3 存储桶名称通常是唯一的，所以无需指定拥有存储桶的账户 ID。要访问其他 AWS 服务的资源，请参阅该服务的 AWS CLI 文档，了解引用其资源所需使用的命令和语法。

David 把 AssumeRole 视为应用程序的一个段调用。他们必须指定 UpdateData ARN：arn:aws:iam::999999999999:role/UpdateData。

AssumeRole 调用返回的结果包含临时凭证以及 AccessKeyId 和 SecretAccessKey。它还包括一个 Expiration 时间，该时间指示凭证何时到期（届时您必须请求新的凭证）。当您使用 AWS SDK 设置角色链时，许多凭证提供者会在凭证过期之前自动刷新凭证。

David 使用那些临时证书调用 s3:PutObject 升级 amzn-s3-demo-bucket-shared-container 存储段。他们会将凭证作为 AuthParams 参数传递给 API 调用。由于临时角色凭证只有 amzn-s3-demo-bucket-shared-container 存储桶的读写权限，因此对目标账户的任何其他操作都会被拒绝。